Adeguamento alla LGPD

La LGPD (Lei Geral de Proteção de Dados, legge n. 13.709/2018) è lo statuto generale brasiliano sulla protezione dei dati personali. È in vigore dal settembre 2020 ed è fatto rispettare dall'autorità nazionale, l'ANPD. L'adeguamento alla LGPD non è la legge in sé, ma la risposta a essa: il lavoro organizzato per riportare il trattamento dei dati personali dell'organizzazione entro i limiti fissati dalla legge. Fa parte della più ampia protezione dei dati.

La legge definisce obblighi, l'adeguamento definisce il lavoro. Come la conformità al GDPR o alla CCPA, il termine descrive un programma di inventari, politiche, contratti e procedure. Non è un audit una tantum né un certificato da ottenere.

La legge

uno statuto che definisce principi, basi giuridiche, diritti degli interessati, obblighi di ciascun soggetto che tratta i dati e le sanzioni che l'ANPD può irrogare.

L'adeguamento

il programma lato organizzazione: inventario dei dati, revisione delle basi giuridiche, assegnazione dei ruoli, contratti con gli operatori, preparazione agli incidenti e registrazioni che dimostrano che tutto funziona.

La LGPD si applica a ogni trattamento di dati personali effettuato in Brasile. Si applica anche al trattamento all'estero quando i dati sono raccolti da persone che si trovano in Brasile o quando il trattamento mira a offrire loro beni o servizi. Un'azienda senza sede in Brasile è coperta se il suo sito registra utenti a San Paolo. Gli obblighi seguono i dati, non l'indirizzo di registrazione.

Il perimetro è volutamente ampio: comprende imprese private di ogni dimensione e settore, organizzazioni non profit e organismi pubblici, con titolari e operatori che hanno doveri propri. Anche i soggetti di piccola scala non sono esentati: l'ANPD ha pubblicato regole semplificate che adattano i loro obblighi, senza eliminarli.

L'adeguamento parte da un quadro onesto dello stato attuale. Un inventario dei dati registra ogni categoria di dato personale, la sua finalità e origine, i sistemi in cui risiede, per quanto tempo viene conservato e a chi viene comunicato. La classificazione dei dati indica poi quali di queste categorie sono sensibili. La mappa dei flussi di dati estende l'inventario al movimento: come i dati circolano tra sistemi, fornitori e canali come l'email, il cloud e i supporti rimovibili.

La valutazione confronta questo quadro con le richieste della legge. Verifica se ogni attività ha una base giuridica, se i dati sensibili ricevono la tutela più rigorosa dell'Articolo 11, se i tempi di conservazione sono definiti, se esistono contratti con gli operatori e se una richiesta dell'interessato potrebbe davvero essere soddisfatta da questi sistemi. Il risultato è un report dei gap e un piano di rimedio con responsabili e scadenze. Per trattamenti su larga scala o ad alto rischio, l'ANPD può anche chiedere il rapporto di impatto, il RIPD, molto più facile da redigere quando l'inventario esiste già.

La console Anexet include modelli predefiniti per identificativi, come i numeri di conto bancario e di passaporto, che costituiscono un punto di partenza per decidere quali identificativi cercare.

L'adeguamento funziona come un ciclo, non come un progetto unico. Processi e fornitori cambiano, e l'ANPD continua a emanare regole, per questo i programmi maturi ripetono gli stessi cinque passaggi:

1. 1

   Inventariare i dati

   Registra ogni categoria di dato personale, la sua finalità, la sua origine e dove è conservata.

2. 2

   Mappare i flussi

   Segui come i dati si spostano tra sistemi, fornitori e canali.

3. 3

   Chiudere i gap

   Correggi basi giuridiche, regole di conservazione e contratti con gli operatori mancanti, ognuno con un responsabile e una scadenza.

4. 4

   Dimostrare il funzionamento

   Conserva registrazioni che mostrino che i controlli operano, come i log e una traccia di audit.

5. 5

   Ripetere il ciclo

   Ripeti questi passaggi quando cambiano processi, fornitori o regole dell'ANPD.

La LGPD è stata scritta tenendo apertamente conto del GDPR, quindi i due quadri si somigliano. Condividono principi come la limitazione della finalità e la minimizzazione dei dati, un catalogo di diritti degli interessati, un responsabile della protezione dei dati e la notifica all'autorità in caso di violazione dei dati. Un'organizzazione che gestisce già un programma GDPR riconoscerà gran parte di un piano di adeguamento.

Le differenze stanno nei dettagli, ed è per questo che un programma europeo non può essere semplicemente ribattezzato brasiliano:

Ogni attività di trattamento deve fondarsi su almeno una delle dieci basi giuridiche elencate all'Articolo 7 per i dati personali comuni: consenso, obbligo legale, esecuzione del contratto, protezione della vita o dell'incolumità fisica, studi di ricerca, interesse legittimo del titolare e tutela del credito. Per i dati sensibili, come quelli sanitari, biometrici o genetici, l'Articolo 11 restringe l'elenco. Di norma serve un consenso specifico e in evidenza, con alternative ristrette per la sanità, la ricerca e la tutela della vita.

L'interesse legittimo, la base più usata e meno compresa, richiede al titolare di bilanciare la propria finalità con i diritti e le aspettative degli interessati, e di documentare questo bilanciamento. Il consenso deve essere legato a una finalità specifica e può essere revocato in ogni momento. La legge sostiene queste basi con diritti azionabili: conferma, accesso, rettifica, anonimizzazione, blocco o cancellazione, portabilità e informazione su chi ha ricevuto i dati.

La LGPD denomina i propri attori in portoghese, e questi nomi compaiono in ogni piano di adeguamento perché ciascun ruolo ha doveri distinti. La responsabilità dell'operatore è sussidiaria, ma reale, e la designazione dell'encarregado deve essere resa pubblica.

Inizia dai dati personali la cui fuga causerebbe il danno maggiore, poi mappa i canali attraverso cui circolano davvero. Un adeguamento pensato per tutti i set di dati in una volta sola tende a bloccarsi, quindi di solito una prima verifica dei flussi più rischiosi porta il valore maggiore.

Un lavoro simile è richiesto nell'ambito della conformità al CCPA in California, quindi un inventario costruito per un regime può spesso servire anche all'altro.

Per approfondire: Utilizza il sistema DLP Anexet Ultimate per la conformità al GDPR.